ShopEngine <= 4.8.5 - Cross-Site Request Forgery to Wishlist Manipulation

Resumen ejecutivo

La vulnerabilidad detectada en el plugin ShopEngine hasta la versión 4.8.5 permite la manipulación de la lista de deseos a través de un ataque de Cross-Site Request Forgery (CSRF). Esta falla tiene una severidad media y fue publicada el 2 de diciembre de 2025.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes, lo que permite a un atacante enviar peticiones maliciosas que modifican la lista de deseos del usuario sin su consentimiento. La superficie de ataque se centra en las interacciones del usuario con el plugin ShopEngine.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante manipular las preferencias de compra de los usuarios, lo que podría resultar en pérdida de confianza y posibles pérdidas económicas para el negocio. Además, podría comprometer la integridad de los datos del usuario.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando enlaces maliciosos a los usuarios, induciéndolos a hacer clic sin conocer las consecuencias, lo que desencadena la acción no deseada en su lista de deseos.

Mitigación recomendada

Se recomienda actualizar el plugin ShopEngine a la versión 4.8.6 o superior para corregir esta vulnerabilidad. Además, implementar medidas de seguridad adicionales como la validación de tokens CSRF en formularios y solicitudes críticas.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en la lista de deseos de los usuarios y un aumento en las solicitudes sospechosas que no provienen de sesiones válidas.

Alcance afectado

Las versiones afectadas de ShopEngine incluyen todas las versiones hasta la 4.8.5. Las instalaciones que utilicen estas versiones son vulnerables a esta falla.